
PoC LPE Windows exploitant le pilote AsInsHelp64.sys via une lecture/écriture arbitraire en mémoire physique pour écraser les jetons du noyau et obtenir les privilèges SYSTEM.
Ceci est un PoC pour une Escalade de privilèges locale (LPE) qui exploite le pilote AsInsHelp64.sys.
Il abuse d'un pilote ASUS légitime et signé pour mapper la mémoire physique et écraser les jetons du noyau, obtenant finalement les privilèges NT AUTHORITY\SYSTEM.
AsInsHelp64.sys (Lié à ASUS Fan Xpert < v.10013)AsInsHelp64.sys doit être chargé.!process 0 0 Systemdq <System_EPROCESS>+4b8 L1Exécutez le binaire compilé. Le programme demandera les informations système. image
Ouvrez WinDbg et exécutez la commande suivante pour trouver le processus System :
!process 0 0 System
Copiez l'adresse suivant PROCESS et la valeur de DirBase(CR3) image image
Utilisez l'adresse trouvée à l'étape précédente pour lire la valeur du jeton.
dq <System_EPROCESS_Address>+4b8 L1
image image
L'outil localisera votre processus dans le noyau, écrasera le jeton et lancera un nouveau CMD.
whoami
image
https://github.com/DriverHunter/Win-Driver-EXP/tree/main/CVE-2024-30804